Zoom, Windows platformunu etkileyen kritik bir güvenlik açığını düzelttiğini duyurdu. CVE-2026-53412 olarak izlenen ve CVSS puanı 9.8 olan bu açık, kimlik doğrulamasız saldırganların kullanıcı hesaplarını ele geçirmesine olanak tanıyor. Açık, Zoom Workplace, Windows VDI Client ve Zoom Meeting SDK for Windows'un eski sürümlerini etkiliyor. Zoom'un yayımladığı danışma belgesine göre, hata "Uygunsuz Giriş Doğrulaması" kategorisinde yer alıyor ve ağ erişimi olan herhangi bir saldırgan tarafından istismar edilebiliyor.
Zoom'un Offensive Security ekibi tarafından keşfedilen bu güvenlik açığı, saldırganların herhangi bir kullanıcı etkileşimi olmadan hesapları ele geçirmesine izin verebiliyor. Şirket, açığın teknik detaylarını henüz paylaşmadı ancak kullanıcıların en kısa sürede en son sürüme güncelleme yapmalarını öneriyor. Bu tür kritik açıklar, özellikle kurumsal kullanıcılar için büyük risk oluşturuyor çünkü saldırganlar ele geçirdikleri hesaplar üzerinden hassas verilere erişebilir, toplantılara sızabilir veya kimlik avı saldırıları düzenleyebilir.
Zoom ayrıca üç yüksek önem dereceli güvenlik açığını daha düzeltti. CVE-2026-53410 (CVSS 8.8), Windows üzerinde Zoom Workplace, VDI Client/Plugin, Rooms ve Remote Control for Zoom Contact Center'da bir yarış koşulu (race condition) hatası olarak tanımlandı. Bu açık, kimlik doğrulaması yapmış yerel bir kullanıcının kurulum veya kaldırma işlemleri sırasında ayrıcalıklarını yükseltmesine izin veriyor. CVE-2026-53409 (CVSS 8.8) ise Zoom Rooms for Windows'ta uygunsuz ayrıcalık yönetimi nedeniyle ortaya çıktı ve yine ayrıcalık yükseltmeye yol açabiliyor. Son olarak CVE-2026-53411 (CVSS 8.8), Zoom Workplace VDI Plugin for Windows'ta bir girdi doğrulama hatası olarak belirlendi.
Bu güvenlik açıklarının hiçbiri şu anda aktif olarak istismar edilmiyor olsa da, Zoom kullanıcılarının en kısa sürede güncelleme yapmaları kritik önem taşıyor. Özellikle CVE-2026-53412 gibi kimlik doğrulamasız istismar edilebilen açıklar, saldırganlar için cazip hedeflerdir. Zoom, geçtiğimiz aylarda da benzer kritik açıkları düzeltmişti. Ocak ayında, Node Multimedia Routers (MMR) üzerinde CVSS puanı 9.9 olan bir komut enjeksiyonu açığı (CVE-2026-22844) giderilmişti.
Uzmanların Görüşleri
Kullanıcılar, Zoom istemcilerini en son sürüme güncelleyerek bu risklerden korunabilir. Zoom'un resmi web sitesi veya uygulama içi güncelleme mekanizması kullanılarak güncelleme yapılması önerilir. Kurumsal kullanıcıların ayrıca güvenlik politikalarını gözden geçirmeleri ve güncellemeleri mümkün olan en kısa sürede dağıtmaları önemlidir. Bu tür kritik açıklar, özellikle uzaktan çalışmanın yaygın olduğu günümüzde, siber güvenlik ekiplerinin dikkatli olmasını gerektiriyor.
Önemli Gelişmeler
Sonuç olarak, Zoom'un düzelttiği bu güvenlik açıkları, yazılım güncellemelerinin ne kadar hayati olduğunu bir kez daha gösteriyor. Kullanıcıların, güvenlik bültenlerini takip ederek ve güncellemeleri gecikmeden uygulayarak hesaplarını korumaları mümkün. Zoom gibi yaygın kullanılan platformlardaki açıklar, siber saldırganlar için büyük fırsatlar sunuyor ancak hızlı müdahale ile risk minimize edilebiliyor.
Kaynak: securityaffairs.com
